goland不控制go的tls证书行为，所有证书校验由go运行时决定；go默认不读系统ca库，需通过gocertificatepath（go≥1.21）或追加至goroot/ssl/cert.pem（旧版）显式注入企业根证书，并在goland terminal和run配置中继承该环境变量。
GoLand 本身不控制 Go 的 TLS 证书行为
GoLand 是 IDE，它调用的是你本地安装的 go 命令行工具；所有模块下载、go run、go test 等行为的证书校验逻辑，完全由 Go 运行时决定，和 GoLand 设置无关。你在 GoLand 里点“Reload project”或“Download dependencies”，背后执行的仍是 go mod download —— 它失败，不是因为 IDE 配置错了，而是 go 进程没加载企业根证书。
Go 不读系统 CA 库，必须显式注入证书路径
即使你的 macOS Keychain 或 Windows “受信任的根证书颁发机构”里已导入公司 CA，Go 默认也不会去读。它只信任内置根证书（来自 Mozilla）或你通过环境变量指定的 PEM 文件。常见错误现象：
-
go mod download报x509: certificate signed by unknown authority -
curl -v https://goproxy.cn能看到证书链含公司 CA，但 Go 仍失败 - GoLand 的 Terminal 里手动运行
go mod download同样报错
根本解法是让 Go 加载你的根证书文件（如 company-root-ca.crt），方式取决于 Go 版本：
- Go ≥ 1.21：设置
GOCERTIFICATEPATH指向一个目录，里面放*.crt或*.pem文件（例如/opt/my-ca/company-root-ca.crt） - 旧版 Go：需把证书追加到
$(go env GOROOT)/ssl/cert.pem（注意是追加，不是覆盖）
GoLand Terminal 和 Run Configuration 需继承环境变量
GoLand 的 Terminal 默认不自动加载你 shell 中的环境变量（比如你 ~/.zshrc 里设了 GOCERTIFICATEPATH），必须显式配置：
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 打开 Settings → Tools → Terminal → Environment variables，添加
GOCERTIFICATEPATH=/opt/my-ca - 对 Run/Debug Configurations：编辑对应配置 → Environment variables → 同样加入该变量
- 重启 GoLand Terminal 才生效（仅 reload 不够）
别信“GoLand → Preferences → Go → GOPROXY”里填了 HTTPS 地址就万事大吉——如果该地址证书由公司 CA 签发，而 Go 没加载该 CA，照样卡在 TLS 握手阶段，且错误提示极简，看不出根源。
Git 拉取私有模块时证书失败是另一回事
如果你的 go.mod 里模块路径是 https://gitlab.company.com/group/repo，Go 在底层会调用 git clone，此时失败日志常含 SSL certificate problem。这不是 Go 的问题，是 git 自己的 TLS 校验行为。
-
GOCERTIFICATEPATH对git无效 - 必须单独执行：
git config --global http.sslCAInfo /opt/my-ca/company-root-ca.crt - 若 Git 使用 libcurl 后端，还可能需要
git config --global http.sslBackend openssl
证书链是否完整、域名是否匹配 SAN 字段、中间证书是否缺失——这些细节在 GoLand 里看不见，但它们才是真实阻断点。调试时优先用 openssl s_client -connect gitlab.company.com:443 -showcerts 看服务端实际返回了几张证书。
